Теоретические основы компьютерной безопасности: Методические указания к выполнению лабораторных работ, страница 12

Определение 3. Защищенным состоянием системы называется четверка (SUB, OBJ, t, AM), где:

•   SUB - множество субъектов;

•   OBJ-множество объектов (SUSÍOSJ);

•   t:OBJÈSUB®Т- функция типа, сопоставляющая тип каждому объектуили объекту;

•   AM - матрица доступа. Обозначим содержимое ячейки (S, О) матрицы AMкак [S, О], [S, O]ÍR.

Модель Харрисона - Руззо - Ульмана является частным случаем ТАМ, в котором имеется только два типа, скажем, subjectи object. Каждый субъект из SUBимеет тип subject, а объект - object.

Защищенное состояние системы изменяется с помощью команд, опре­деленных ниже.

Определение 4. Команда ТАМ имеет формат:

command a(X₁: t₁, X₂: t₂ ..., X_k    :t_k)

if hÎ[X_s1 ,X_o1] Ù r₂Î [X_s2,X_o2 ] Ù … Ù r_mÎ [X_sm,X_om ]

then op₁ ; op₂ , ..., ор_n

end

где a - имя команды; Х₁ , Х₂, ..., Х_k - формальные параметры, имеющие соот­ветственно типы t₁ , t₂, ..., t_k,; r₁, r₂, ..., r_m - праваÎR; s₁ ,s₂, ..., s_m и o₁ ,o₂, ..., o_m - це­лые числа между 1 и k. Каждое ор_i - одна из элементарных операций:

enter r into [X_s, Х₀],

create subject Х_s of type t_s;

create object X₀ of type t₀;

delete r from [X_s, X₀ ];

destroy subject X_s;

destroy object X₀.

Предикат, следующий за частью if, называется условием команды a, a последовательность операций op₁; ор₂; ...; ор_п - телом команды a. Если усло­вие опускается, то говорят, что команда является безусловной командой, в противном случае говорят, что команда является условной командой.

Команда ТАМ вызывается подстановкой фактических параметров подхо­дящего типа вместо формальных параметров. В ТАМ не имеет значения, кто именно инициирует команду. Это согласуется с анализом безопасности наи­худшего случая. Условная часть команды оценивается в соответствии с ее фактическими параметрами. Тело выполняется только в том случае, если ус­ловие является истинным. Команды выполняются последовательно.

Модель монотонной типизированной матрицы доступа (МТАМ) иден­тична ТАМ за исключением того, что в ней опущены элементарные операции delete, destroysubject и destroyobject. Такая модель не может реализовать некоторые желательные немонотонные аспекты управления доступом. Напри­мер, в монотонной модели не может быть представлена следующая команда передачи:

command    transfer-r(S₁ : s, S₂ : s, O : о)

 if rÎ[S₁ , O]then

    enter rin [S₂, O];

    delete r from [S₁ , O];

end

Общая неразрешимость безопасности МТАМ следует из результатов не­разрешимости монотонной модели Харрисона - Руззо - Ульмана.

Однако, для МТАМ существуют разрешимые случаи безопасности, опре­деляемые на основе типов субъектов и объектов, участвующих в операциях создания. Эти случаи нельзя сформулировать в рамках модели Харрисона - Руззо - Ульмана, поскольку в ней отсутствует организация типов.

Недостатки модели, построенной на типизированной матрице доступа

Среди недостатков отметим следующее:

•  отсутствие контроля типов и, как следствие:

• возможность косвенного получения доступа к конфиденциальной ин­формации

•  возможность создания субъекта, наделенного большими полномочия­ми, чем его создатель.

Оценивая наихудшие ситуации распространения прав, рассмотрим по­литику контролируемого источника, реализующую контроль информации в документах в качестве примера политики военного сектора (которая трудно во­площается в рамках классической модели Белл-ЛаПадула).

Политика контролируемого источника требует, чтобы создатель (источ­ник) документа поддерживал контроль за доступом к этому документу. Напри­мер, субъект S₁ , является создателем документа, и он разрешает субъекту S₂ его чтение. Политика контролируемого источника требует, чтобы S₂ не мог пе­редать информацию кому-то еще, скажем, субъекту S₃: ни прямо, разрешая S₃ доступ чтения документа, ни косвенно, разрешая S₃ доступ чтения копии доку­мента.

Решение проблемы контролируемого источника основано на том, что в ТАМ несколько предков могут совместно создавать дочерний субъект. Поэтому наделение правами и создание копий должно происходить совместно двумя субъектами: S₂ запрещается работа, выходящая за рамки собственного типа (тип S₂ разрешает только чтение), без получения на то согласия S₁ как созда­теля документа.